40

Falam muito mal do eval, mas, as vezes, me pergunto se ele realmente é o problema ou é a pessoa que está sentada na frente do computador (o suposto programador).

Minha vida inteira (na programação) tenho ouvido críticas, piadinhas, zoeiras em cima dessa função eval, mas o curioso é que, mesmo aqueles que zoam, acabam por usar bibliotecas que a utilizam internamente, sem saber.

Um exemplo disso é Laravel 3, que no sistema de views, utiliza eval.

Exemplo (removi os comentários do código original):

    public function get()
    {
        $__data = $this->data();

        $__contents = $this->load();

        ob_start() and extract($__data, EXTR_SKIP);

        try
        {
            eval('?>'.$__contents);
        }
        catch (\Exception $e)
        {
            ob_get_clean(); throw $e;
        }
        $content = ob_get_clean();

        if (Event::listeners('view.filter'))
        {
            return Event::first('view.filter', array($content, $this->path));
        }

        return $content;
    }

GITHUB - view.php - linha 385

É verdade, o mesmo já está descontinuado, mas não está numa era tão distante assim (a versão dele é para PHP 5.3). Porém não seria surpresa se um dos críticos de eval tivesse utilizando esse framework sem saber dessa informação.

E ainda eu dou outro exemplo, que muitos programadores também usam, mas sem saber. O SuperClosure que é utilizado no Laravel 4 e Laravel 5. Essa biblioteca tem como finalidade prover uma possibilidade de serializar closures no PHP, já que nativamente as closures no PHP não têm suporte a serialização. Essa biblioteca se torna útil para quem precisa utilizar sistemas de filas, como o Beanstalkd, onde as informações passadas geralmente são uma string, e, portanto, os dados em PHP precisam ser serializados.

Exemplo:

    /**
     * Reconstruct a closure.
     *
     * HERE BE DRAGONS!
     *
     * The infamous `eval()` is used in this method, along with the error
     * suppression operator, and variable variables (i.e., double dollar signs) to
     * perform the unserialization logic. I'm sorry, world!
     *
     * This is also done inside a plain function instead of a method so that the
     * binding and scope of the closure are null.
     *
     * @param array $__data Unserialized closure data.
     *
     * @return Closure|null
     * @internal
     */
    function __reconstruct_closure(array $__data)
    {
        // Simulate the original context the closure was created in.
        foreach ($__data['context'] as $__var_name => &$__value) {
            if ($__value instanceof SerializableClosure) {
                // Unbox any SerializableClosures in the context.
                $__value = $__value->getClosure();
            } elseif ($__value === Serializer::RECURSION) {
                // Track recursive references (there should only be one).
                $__recursive_reference = $__var_name;
            }
            // Import the variable into this scope.
            ${$__var_name} = $__value;
        }
        // Evaluate the code to recreate the closure.
        try {
            if (isset($__recursive_reference)) {
                // Special handling for recursive closures.
                @eval("\${$__recursive_reference} = {$__data['code']};");
                $__closure = ${$__recursive_reference};
            } else {
                @eval("\$__closure = {$__data['code']};");
            }
        } catch (\ParseError $e) {
            // Discard the parse error.
        }
        return isset($__closure) ? $__closure : null;
    }

GitHub - SerializableClosure.php - linha 187.

Pensando na utilidade das classes das bibliotecas apresentadas acima, lembrando que são só dois exemplos, mas deve haver outros casos, fiquei me questionando se eu deveria ainda continuar falando mau do eval ou simplesmente fazer uma análise e avaliar quando é bom ou ruim usá-lo.

Por outro lado, se eu pensar que "todo eval, independente de como é implementado, é um risco", provavelmente vou ter que parar de usar as bibliotecas que citei acima, e fazer um trabalho todo manual...

  • Quais são os riscos de usar eval num projeto?

  • Devo sempre evitá-lo?

  • Se a resposta for sim para "devo evitá-lo", então eu também deveria deixar de usar bibliotecas que o implementam? Afinal de contas, isso não pode pôr meu código em risco?

  • O eval deve ser utilizado em alguns casos bem específicos (como por exemplo, somente em geração de código) ou posso utilizá-lo livremente, desde que eu tenha consciência do que estou fazendo?

Nota: Favor não editar e colocar tags como ou , pois os exemplos foram apenas para mostrar casos onde eval foi "bem recebido". Se houver exemplos de outras linguagens que o usem, será bem-vindo.

4
  • 1
    Um "evalzinho" de vez enquanto não faz mal a ninguém, hehehe Commented 16/05/2016 às 20:41
  • 5
    Eu poderia dar esta resposta aqui, apesar dela ser sobre JavaScript. Mas não sei bem que tipo de resposta procuras. O eval existe, e não há um veredicto usa/não usa, cad um faz como quer.
    – Sergio
    Commented 16/05/2016 às 20:43
  • 1
    @Sergio quero deixar essa pergunta aqui mais para quebrar o preconceito (principalmente o meu, que aprendi mecanicamente). Mas ao ver essas libraries, realmente me incomodou lembrar essas críticas Commented 16/05/2016 às 20:45
  • 3
    @GuilhermeNascimento para dar ênfase: "O mau uso do eval pode levar a ataques de injeção de código" Commented 16/05/2016 às 20:47

2 Respostas 2

30
+50

Vou começar dizendo que as pessoas usam bibliotecas sem saber se elas têm qualidade ou não. Assim, como usam técnicas, ferramentas, metodologias, paradigmas, tecnologias, cursos, etc. sem saber se é bom para ele naquele contexto.

Quais são os riscos de usar eval num projeto?

Com a injeção de código ou dados maliciosos é possível comprometer todo o sistema de execução. O eval() executará o texto que receber sem nenhuma preocupação. Frequentemente o programador imagina que virá algo confiável, mas costuma acontecer o oposto.

Devo sempre evitá-lo?

Sim, deve evitá-lo "sempre". Mas se tiver uma necessidade real pode usar se souber o que está fazendo.

Se a resposta for sim para "devo evitá-lo", então eu também deveria deixar de usar bibliotecas que o implementam? Afinal de contas, isso não pode pôr meu código em risco?

Se a biblioteca for bem feita não há um grande problema. Fico pensando se a biblioteca usou isso porque os programadores dela são preguiçosos ou havia um motivo real para seu uso. Se for o primeiro, esse motivo por si só deveria ser um alerta para não usar essa biblioteca.

A decisão deve passar por uma análise do código e ver se eles sanitizaram toda entrada da função de forma adequada. Se isto foi feito o perigo é pequeno. Sempre pode falhar. Pode ser que fizeram quase direito, mas deixaram um brecha que alguma alteração no código pode abrir caminho para uma vulnerabilidade.

O eval deve ser utilizado em alguns casos bem específicos (como por exemplo, somente em geração de código) ou posso utilizá-lo livremente, desde que eu tenha consciência do que estou fazendo?

Se for usar geração de código do jeito correto, tenho dúvidas se o eval() realmente é necessário. Se for algo que não fica exposto, já é algo positivo. Até pode usar livremente se tiver consciência do que está fazendo, mas se tiver mesmo, não usará a não ser que seja fundamental. Sanitizar pode ser mais complicado do que a pessoa imagina. Claro que sempre tem exceções, mas quando há alguma, normalmente era simples de resolver sem o eval() já que não precisa sanitizar nada.

Utilidade do eval()

Não me lembro de um problema que tive que lidar que o eval() fosse necessário a não ser quando usei uma linguagem muito ruim que não permitia outras formas. Só para ter uma ideia era uma linguagem que não tinha array, função, e referência. O dia que essa linguagem passou ter essas coisas, tudo se resolveu sem avaliar código fonte em tempo de execução.

Fazer certo com ele é tão complicado que fazer o certo sem ele é tão ou mais fácil. Quase todos os usos da função só fica mais simples se deixar brechas.

No fundo o eval() em si não é o problema, pelo menos não mais que o SQL. Claro que o eval() permite causar estrago maior (mas pode até ser menor em certos casos). O perigo é não sanitizar o texto.

É óbvio que em scripts próprios, internos, coisas muito simples, ou mesmo em casos que a fonte de texto é controlada 100% pela aplicação, o seu uso pode ser minimamente adequado, ainda que provavelmente ainda não necessário.

Além do problema de segurança há problemas de performance e manutenibilidade. Por isso, mesmo nos casos que a segurança não seja problema, convém não abusar.

O perigo dele é que é viciante. A pessoa gosta de ter o trabalho aparentemente simplificado, e começa abusar.

JavaScript

Curiosamente o pessoal fala muito mal do eval() em JavaScript e de fato é melhor evitá-lo, mas pensa bem, que diferença faz ter um eval() em um código que o usuário tem total controle? O problema do JS é mais embaixo. Claro que falo do uso no browser. Se usar Node, Deno ou outra tecnologia para uso no backend, o eval() deve ser evitado, ou pelo menos use com perfeita sanitização.

Coloquei no GitHub para referência futura.

11
  • 3
    Fala mal de eval no Javascript, mas usa new Function... Tá de brincadeira, né Commented 16/05/2016 às 20:59
  • 3
    O NPM nunca foi confiável.As pessoas usam, ams o fato da arquitetura ter as permissões que são descritas nesse artigo (emque um ataque simples, e destruidor é descrito, mas é só um bônus) não é seguro. Só que as pessoas usam. por que é o que "tem" para Javascript e o que os develeopers front-end sabem usar.
    – jsbueno
    Commented 16/05/2016 às 21:18
  • 2
    A ideia do eval() seria adicionar um suporte bem básico/ ou caracteristicas de metaprogramming na linguagem?
    – rray
    Commented 16/05/2016 às 22:01
  • 5
    @rray Seria. E dos mais poderosos, fácil de usar e abusar. Difícil de usar certo, difícil de usar quando as coisas não saem como o esperado. É uma Kombi sem freio na ladeira. Tudo muto bom, se nada atravessar seu caminho.
    – Maniero
    Commented 16/05/2016 às 22:08
  • 3
    Acho que o problema em geral não é do recurso eval, mas sim de quem está usando. Até hoje eu nunca tive que usar o eval, mas vivia vendo códigos como eval('abc = 3'), onde as pessoas saiam usando um recurso desnecessariamente somente porque aprendeu ele. Commented 17/05/2016 às 13:59
13

Considere que cada técnica, padrão ou filosofia de programação que você aprende é uma arma.

Algoritmos com estruturas de dados são uma pistola, você precisa aprender a manejar pelo menos isso se quer ir pra frente de batalha. Daí vem a orientação a objetos, que é um fuzil - você só se torna um soldado eficiente quando consegue montar e desmontar seus objetos de olhos fechados. Padrões de projeto são fuzis de franco-atirador, você destrói problemas específicos com muita precisão. Análise de algoritmos (entender complexidade e notação O) é um lançador de mísseis - não importa o quanto o problema cresça, você vai gastar a mesma munição para acabar com ele.

O eval é como um míssil nuclear balístico intercontinental:

  • Tem o potencial de resolver problemas que seriam muito difíceis de resolver de outra forma. Nesse caso, inclusão de arquivos externos, como o Laravel faz. Porém...
  • A opinião pública vai te odiar. Você vai ouvir de muita gente que o que você está fazendo é uma atrocidade;
  • Vai ter muito dano colateral: você está potencialmente abrindo seu código para vulnerabilidades de injeção de Javascript. No lado do cliente (navegador) isso não é tão grave pois em geral todo o código que roda no navegador está exposto a pessoas mal intencionadas. Mas se você usa JS no servidor (node.js, por exemplo) e realiza eval em algo que venha do lado cliente... Que o Deus da programação tenha piedade da sua alma;
  • A radiação demora séculos para se dissipar - a manutenção do seu código vai ficando cada vez mais complicada, já que:
    ** Praticamente nenhuma ferramenta de análise de código vai querer encostar no eval;
    ** A depuração se torna muito mais complicada;
    ** Os fluxos ficam mais difíceis de serem mapeados.

Pra finalizar, vou falar por experiência própria. Na maioria das vezes em que as pessoas usam eval, elas poderiam ter resolvido seus problemas por outros meios. Na tentativa de amenizar os problemas citados acima, acabam fazendo mais coisas que não são recomendáveis e os custos de manutenção viram uma bola de neve. Se você pensar em usar o eval, certifique-se de que seus problemas não podem ser resolvidos de nenhuma outra forma antes de levar a ideia adiante.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .